Die Sicherheitsforschungsfirmen Varonis und PromptArmor haben unabhängig voneinander zwei Angriffswege gegen Atlassians KI-Assistenten Rovo veröffentlicht, über die sich Jira- und Confluence-Daten an Angreifer abziehen lassen. Bei Varonis genügt ein einziger präparierter Link, bei PromptArmor reicht unsichtbarer Text in einer hochgeladenen PDF-Datei. Rovo ist bei mehr als fünfzig angebundenen Diensten im Einsatz, von Slack bis Microsoft 365.
Ein präparierter Link genügt für den Datenabgriff
Varonis nennt seine Entdeckung intern RovoBlast. Der Angriff missbraucht den URL-Parameter rovoChatPrompt, der Inhalte direkt und ungeprüft in das Chatfenster von Rovo einträgt. Klickt ein angemeldeter Mitarbeiter auf einen präparierten Link, führt Rovo die enthaltenen Anweisungen mit dessen eigenen Rechten aus – ganz ohne zusätzliche Bestätigung oder Rechte-Eskalation. Die Organisations-ID im Link lässt sich sogar leer lassen, Atlassian leitet die Anfrage dann automatisch an die Standardorganisation des Opfers weiter, sodass Angreifer das Ziel nicht einmal kennen müssen.
Für den eigentlichen Datenabfluss nutzt der Angriff Rovos Werkzeug ResearchAgent, das eigenständig mehrstufig im Web und in angebundenen Diensten recherchiert. Varonis demonstrierte damit den Abgriff von Confluence-Seiten, Jira-Tickets und SharePoint-Inhalten mit personenbezogenen Daten, außerdem ließen sich private API-Schlüssel auslesen. Einen ähnlichen Parameter-Angriff hatte Varonis bereits im Januar bei Microsoft Copilot unter dem Namen Reprompt gefunden. Atlassian schloss die Lücke serverseitig am 8. Juli 2026 und zahlte über die Plattform Bugcrowd eine Prämie von 6.000 Dollar.
Unsichtbarer PDF-Text schleust Befehle ein
Der zweite, von PromptArmor gefundene Angriffsweg funktioniert ganz ohne Link. Die Forscher versteckten Steueranweisungen in einem PDF-Dokument, getarnt als Backlog-Leitfaden: weiße Schrift auf weißem Grund, ein Schriftgrad von einem Punkt, ein Zeilenabstand von 0,1. Für Menschen unsichtbar, liest Rovo beim Verarbeiten des kompletten Dokuments auch diesen Text als Anweisung. Fordert ein Nutzer Rovo auf, die Datei zu organisieren, hängt das Werkzeug zum Abrufen von URLs die gefundenen sensiblen Inhalte als Parameter an eine vom Angreifer kontrollierte Adresse an – der Abruf landet im Server-Log des Angreifers.
Der Trick funktioniert laut PromptArmor selbst dann, wenn Administratoren die Websuche für Rovo firmenweit deaktivieren, weil diese Einstellung das zugrunde liegende URL-Werkzeug nicht entfernt. Ein zweiter, ähnlicher Weg nutzt ungesicherte Markdown-Bilddarstellung. PromptArmor meldete den Fund am 23. Mai 2026, Atlassian vergab zwei Tage später eine Fallnummer und bedankte sich, reagierte auf weitere Nachfragen im Juni und Ende Juli aber nicht mehr. Bei der Veröffentlichung am 5. August erklärte PromptArmor, Rovo sei über diesen Weg weiterhin angreifbar; ob sich das seither geändert hat, ist unabhängig nicht verifiziert. Eine CVE-Nummer gibt es für beide Rovo-Lücken bislang nicht.
Firmen setzen KI-Agenten trotz bekannter Risiken breit ein
Der Fall reiht sich in eine wachsende Zahl ähnlicher Vorfälle bei KI-Assistenten großer Softwareanbieter ein. Erst Anfang August hatte der Sicherheitsforscher Håkon Måløy gezeigt, wie versteckter Text in Word-Dokumenten Microsofts Copilot dazu bringt, sich selbst in neue Dateien zu kopieren – auch dort blieb die Lücke laut dem Forscher monatelang nur teilweise geschlossen. Der Sicherheitsanbieter Netskope beobachtet laut einem aktuellen Report branchenweit eine Verdopplung solcher Downstream-Datenlecks binnen eines Jahres, häufig ausgelöst über das Protokoll MCP, mit dem KI-Agenten auf interne Systeme zugreifen.
Rovo ist über sogenannte Connectors an mehr als fünfzig externe Dienste angebunden, von Bitbucket und Slack bis Google Workspace und Microsoft 365 – jede Anbindung vergrößert die Angriffsfläche für Prompt-Injection-Attacken zusätzlich. Beide Rovo-Schwachstellen setzen an genau diesem Muster an: Ein KI-Agent, der Dokumente oder Links als vertrauenswürdig behandelt, verarbeitet darin versteckte Anweisungen wie legitime Nutzerbefehle.
Offen bleibt, ob Atlassian für die PDF-Lücke einen Zeitplan nennt und ob eine CVE-Nummer folgt, die Unternehmen für eigene Risikobewertungen nutzen könnten. Entscheidend wird außerdem, ob Anbieter von KI-Agenten Werkzeuge wie Rovos URL-Abruf grundsätzlich strenger absichern – ein einzelner deaktivierter Schalter reicht dem aktuellen Befund zufolge nicht aus, um Firmendaten zu schützen.
